Gitea: Fehlerhafte Prüfung der Repository-Eigentümerschaft bei Anhängen

Beschreibung

Gitea validiert laut NVD die Repository-Eigentümerschaft beim Verknüpfen von Anhängen mit Releases nicht korrekt. Ein in ein privates Repository hochgeladener Anhang könnte mit einem Release in einem anderen, öffentlichen Repository verknüpft und dadurch für Unbefugte zugänglich werden. CVSS-Basiswert: 9.1 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Changelog

1. 2026-07-15 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Gitea / Forgejo

• Gitea Code Injection Vulnerability KEV CVE-2026-60004
• Gitea: Unzureichende Prüfung der Projekteigentümerschaft bei Organisationsprojekten CVE-2026-20750
• Gitea – Fehlende Eigentumsprüfung beim Löschen von Git-LFS-Locks CVE-2026-20897
• Forgejo – Fehlende Objektberechtigungsprüfung ermöglicht unbefugten Zugriff CVE-2023-49946
• Gitea erlaubt Anhänge mit verbotenen Dateiendungen CVE-2025-68939
• Gitea: SSRF-Schutzumgehung bei HTTP-Fetch-Operationen CVE-2026-34966